{"id":120895,"date":"2024-12-08T21:46:03","date_gmt":"2024-12-08T19:46:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-pozvolyayushhie-podmenit-obrazy-i-vypolnit-kod-na-asu-serverah-proekta-openwrt"},"modified":"2024-12-08T21:46:03","modified_gmt":"2024-12-08T19:46:03","slug":"uyazvimosti-pozvolyayushhie-podmenit-obrazy-i-vypolnit-kod-na-asu-serverah-proekta-openwrt","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimosti-pozvolyayushhie-podmenit-obrazy-i-vypolnit-kod-na-asu-serverah-proekta-openwrt","title":{"rendered":"S\u00e5rbarheder, der muligg\u00f8r udskiftning af billeder og eksekvering af kode p\u00e5 ASU-servere i OpenWrt-projektet.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I det udviklede projekt OpenWrt-v\u00e6rkt\u00f8jet ASU (Attended SysUpgrade) er der identificeret kritiske s\u00e5rbarheder (CVE-2024-54143), som muligg\u00f8r kompromittering af de build-artefakter, der distribueres via tjenesten sysupgrade.openwrt.org eller tredjeparts ASU-servere, hvilket kan f\u00f8re til installation af modificerede firmwarebilleder af en hacker p\u00e5 systemer hos brugere, der anvender 'attended upgrade'-metoden gennem webgr\u00e6nsefladen selector.openwrt.org eller kommandolinjev\u00e6rkt\u00f8jet attended.sysupgrade. <\/p>\n
For at gennemf\u00f8re et angreb er det tilstr\u00e6kkeligt for angriberen at sende en anmodning om at danne en samling til ASU-serveren (s\u00e5danne anmodninger kan enhver bruger sende uden at gennemg\u00e5 autentifikation). Gennem manipulation af en s\u00e6rligt tilrettelagt pakkeliste kan angriberen organisere udsendelsen af tidligere genererede ondsindede billeder som svar p\u00e5 legitime samlingsanmodninger fra andre brugere. <\/p>\n
ASU-servicen anvendes i OpenWrt til at danne og installere firmwareopdateringer uden at miste de eksisterende indstillinger og brugerinstallerede pakker. Gennem webgr\u00e6nsefladen eller kommandolinjev\u00e6rkt\u00f8jet sender brugeren en anmodning om at danne et opdateret firmwarebillede ved at angive de pakker, der er installeret p\u00e5 deres system. Efter et stykke tid danner ASU-serveren et billede, der svarer til den bestilte indhold, hvorefter brugeren downloader det og opdaterer det p\u00e5 deres enhed. Der tilbydes desuden en mulighed for at bevare de eksisterende indstillinger i den opdaterede firmware. <\/p>\n
ASU Serveren h\u00e5ndterer anmodninger fra brugerne og starter en automatisk samling af firmwarebilleder ved hj\u00e6lp af v\u00e6rkt\u00f8jet ImageBuilder og opretholder ogs\u00e5 en cache af tidligere forberedte samlinger. Hvis brugeren anmoder om et billede, der tidligere er blevet samlet, og som stadig er aktuelt, giver systemet straks det eksisterende billede fra cachen uden at starte samlingsprocessen. serveren<\/a> og bevarer relevansen, systemet giver straks det eksisterende billede fra cachen uden at starte samlingsprocessen. <\/p>\n